MAC 認証使用時の通信障害

5.2.1 MAC 認証使用時のトラブル

MAC認証使用時の障害は，次の表に従って原因を切り分けてください。

表 5-3 MAC認証の障害解析方法

項 番

確認内容・コマンド 対応

1 端末が通信できるかを確認 してください。

・ローカル認証方式で認証できない場合は項番2へ。

・RADIUS認証方式で認証できない場合は項番3へ。

・上記に該当しない場合は項番5へ。

2 show mac-authentication mac-addressコマンドで MACアドレスとVLAN ID が登録されているかを確認 してください。

・MACアドレスが登録されていない場合は，set authentication

mac-addressコマンドでMACアドレス，およびVLAN IDを登録してくださ

い。

・上記に該当しない場合は項番5へ。

3 show mac-authentication statisticsコマンドで

RADIUSサーバとの通信状

態を確認してください。

・表示項目"[RADIUS frames]"の"TxTotal"の値が"0"の場合は，コンフィグ レーションコマンドaaa authentication mac-authentication default group radius，radius-server hostおよびmac-authentication radius-server hostが正し く設定されているか確認してください。

・dead interval機能によって，RADIUSサーバが無応答となった状態から通

信可能な状態に復旧しても，コンフィグレーションコマンドauthentication radius-server dead-intervalで設定された時間の間はRADIUSサーバへの照合 は行われないため，認証エラーとなります。

この際，RADIUSサーバ無応答による認証失敗の時間が長すぎる場合は，

コンフィグレーションコマンドauthentication radius-server dead-intervalの設 定値を変更するか，またはclear mac-authentication dead-interval-timerコマン ドを実行してください。1台目のRADIUSサーバを使用した認証動作が再 開されます。

・上記に該当しない場合は項番4へ。

4 RADIUSサーバにMACア

ドレスおよびパスワードが 登録されているかを確認し てください。

・RADIUSサーバのユーザIDとしてMACアドレスが登録されていない場合

は，RADIUSサーバに登録してください。

・パスワードとしてMACアドレスを使用している場合は，ユーザIDに設定 したMACアドレスと同一の値を設定してください。

・パスワードとして，RADIUSサーバに共通の値を設定した場合は，コン フィグレーションコマンドmac-authentication passwordで設定したパスワー ドと一致しているかを確認してください。

・上記に該当しない場合は項番5へ。

5 認証専用IPv4アクセスリ ストの設定を確認してくだ さい。

・認証前状態の端末から装置外に特定のパケット通信を行う場合，認証専用 IPv4アクセスリストが設定されていることを確認してください。

また，通常のアクセスリストと認証専用IPv4アクセスリストの両方を設 定した場合，認証専用IPv4アクセスリストに設定したフィルタ条件が通 常のアクセスリストにも設定されていることを確認してください。

・認証せずに通信できてしまう場合は，アクセスリストに，IPパケットの通 信を許可するフィルタ条件（permit ip anyなど）が設定されていないこと を確認してください。

・認証対象ポートに設定した認証専用IPv4アクセスリストにdeny ip any any のフィルタ条件を設定しても，受信したARPパケットによってMAC認証 が行われます。該当ポートをMAC認証の対象から外したい場合は，コン フィグレーションコマンドno mac-authentication portでMAC認証の対象 ポートから外してください。

項 番

確認内容・コマンド 対応

・上記に該当しない場合は項番6へ。

6 show mac-authentication statisticsコマンドでMAC 認証の統計情報が表示され るかを確認してください。

・MAC認証の統計情報が表示されない場合は項番7へ。

・上記に該当しない場合は項番8へ。

7 コンフィグレーションコマ ンドmac-authentication system-auth-controlが設定 されているかを確認してく ださい。

・コンフィグレーションコマンドmac-authentication system-auth-controlが設 定されていない場合は，設定してください。

・コンフィグレーションコマンドmac-authentication portで認証対象ポートが 正しく設定されているかを確認してください。

・端末が接続されている認証対象ポートがリンクダウン，またはシャットダ ウンしていないことを確認してください。

・上記に該当しない場合は項番8へ。

8 show mac-authentication loggingコマンドを実行 し，動作に問題がないかを 確認してください。

・最大収容条件まで認証されている場合はほかの端末が認証解除するまでお 待ちください。

・上記に該当しない場合はMAC認証のコンフィグレーションを確認してく ださい。

5.2.2 MAC 認証のコンフィグレーション確認

MAC認証に関係するコンフィグレーションは次の点を確認してください。

表 5-4 MAC認証のコンフィグレーションの確認

項 番

確認ポイント 確認内容

1 MAC認証のコンフィグ レーション設定

次のコンフィグレーションコマンドが正しく設定されていることを確認して ください。

・aaa accounting mac-authentication default start-stop group radius

・aaa authentication mac-authentication default group radius

・mac-authentication password

・mac-authentication port

・mac-authentication radius-server host

・mac-authentication static-vlan max-user

・mac-authentication system-auth-control 2 認証用アクセスフィルタの

設定を確認

認証前状態の端末から装置外に通信するために必要なフィルタ条件が，コン フィグレーションコマンドauthentication ip access-groupおよびip access-list

extendedで，正しく設定されていることを確認してください。

5.2.3 MAC 認証のアカウンティング確認

MAC認証のアカウンティングに関しては次の点を確認してください。

表 5-5 MAC認証のアカウンティングの確認

項 番

確認ポイント 確認内容

1 認証結果のアカウントが正 しく記録されているかの確 認

・show mac-authentication loginに認証状態が表示されていない場合は「表 5-3 MAC認証の障害解析方法」を実施してください。

・アカウンティングサーバに記録されていない場合は項番2へ。

・syslogサーバに記録されていない場合は項番3へ。

2 show mac-authentication ・表示項目"[Account frames]"の"TxTotal"の値が"0"の場合は，コンフィグレー

56 項

番

確認ポイント 確認内容

statisticsコマンドでのアカ ウンティングサーバとの通 信状態の確認

ションコマンドaaa accounting mac-authentication default start-stop group radius，radius-server host，またはmac-authentication radius-server hostが正し く設定されているか確認してください。

・上記に該当しない場合はMAC認証のコンフィグレーションを確認してく ださい。

3 syslogサーバの設定の確認 次のコンフィグレーションコマンドが正しく設定されていることを確認して

ください。

・logging hostでsyslogサーバが設定されていることを確認してください。

・logging event-kindでイベント種別にautが設定されていることを確認して

ください。

・mac-authentication logging enableが設定されていることを確認してくださ い。